[논문 리뷰] Classical and Quantum algorithms for generic Syndrome Decoding problems and applications to the Lee metric

André Chailloux, Thomas Debris-Alazard외 1명|arXiv (Cornell University)|2021. 04. 26.

Coding theory and cryptography참고 문헌 18인용 수 13

한 줄 요약

이 논문은 정보집합 디코딩(ISD) 알고리즘을 해밍 무게를 초월해 임의의 무게 함수, 특히 리 무게에까지 확장하며, 고전적 및 양자 복잡도를 분석하는 통합 프레임워크를 제공한다. 특정 매개변수, 특히 중간 코드 속도 및 높은 무게에서 리 무게에서의 심호드 디코딩은 해밍 무게보다 지수적으로 더 어렵다는 것을 보여주며, 특히 q-ary 복잡도에서 q=3일 때 가장 어려운 사례가 발생한다.

ABSTRACT

The security of code-based cryptography usually relies on the hardness of the syndrome decoding (SD) problem for the Hamming weight. The best generic algorithms are all improvements of an old algorithm by Prange, and they are known under the name of Information Set Decoding (ISD) algorithms. This work aims to extend ISD algorithms' scope by changing the underlying weight function and alphabet size of SD. More precisely, we show how to use Wagner's algorithm in the ISD framework to solve SD for a wide range of weight functions. We also calculate the asymptotic complexities of ISD algorithms both in the classical and quantum case. We then apply our results to the Lee metric, which currently receives a significant amount of attention. By providing the parameters of SD for which decoding in the Lee weight seems to be the hardest, our study could have several applications for designing code-based cryptosystems and their security analysis, especially against quantum adversaries.

연구 동기 및 목표

• 정보집합 디코딩(ISD) 알고리즘의 범위를 해밍 무게를 초월해 임의의 무게 함수, 특히 리 무게까지 확장하는 것.
• 고전적 및 양자 계산 모델 하에서 ISD 알고리즘의 일반적인 복잡도 분석을 제공하는 것.
• 암호 기반 암호에서 리 무게에서의 심호드 디코딩 문제의 가장 어려운 사례를 규명하는 것.
• 다양한 알파벳 크기와 무게 함수에서의 복잡도를 정량화하여, 특히 양자 공격자에 대비한 안전한 암호 기반 시스템 설계를 지원하는 것.
• 임의의 무게 함수에 대해 渐近 구면 표면 면적을 계산하기 위한 볼록 최적화 방법을 개발하여, 어떤 무게 함수에 대해서도 복잡도 추정이 가능하도록 하는 것.

제안 방법

• 일반화된 생일 문제를 위한 워거의 알고리즘을 ISD 프레임워크에 적응시켜 임의의 무게 함수 하에서 심호드 디코딩을 해결한다.
• 함수 wt′: F_q → R_+ 에서 wt′(0) = 0 를 만족하는 임의의 무게 함수에 대해 渐近 구면 표면 면적을 계산하기 위한 볼록 최적화 접근법을 사용한다.
• 계산된 구면 표면 면적을 바탕으로 고전적 및 양자 환경에서의 ISD 알고리즘의 渐近 복잡도 표현식을 유도한다.
• 프레임워크를 리 무게에 적용하여 해밍 무게와 비교하고, q-ary 渐近 복잡도(q^{╱n})와 이진 渐近 복잡도(2^{αn}) 기반으로 복잡도를 평가한다.
• 코드 속도 R 과 무게 ω 에 대해 최적화하여 심호드 디코딩 문제의 가장 어려운 사례를 규명한다.
• 다양한 q 값에 대해 수치적으로 결과를 검증하여, q-ary 복잡도가 q=3에서 최대에 도달함을 보이며, 이는 해당 무게 함수에서 가장 어려운 문제임을 시사한다.

실험 결과

연구 질문

• RQ1 암호 기반 암호에서 해밍 무게를 리 무게로 대체할 경우 심호드 디코딩의 복잡도는 어떻게 변화하는가?
• RQ2 다양한 무게 함수와 알파벳 크기에서 고전적 및 양자 ISD 알고리즘의 渐近 복잡도는 무엇인가?
• RQ3 리 무게에서 심호드 디코딩 문제의 가장 어려운 코드 속도와 무게는 무엇인가?
• RQ4 워거의 알고리즘이 비해밍 무게 함수에 대해 ISD 프레임워크에 효과적으로 통합될 수 있는가?
• RQ5 q-ary 渐近 복잡도는 증가하는 알파벳 크기 q에 따라 어떻게 변화하며, 문제의 가장 어려운 지점은 어디인가?

주요 결과

• 특정 매개변수, 특히 높은 무게와 중간 코드 속도에서 리 무게에서의 심호드 디코딩 문제는 해밍 무게보다 지수적으로 더 어렵다.
• q=3일 때 q-ary 渐近 복잡도가 최대에 도달하며, 이는 리 무게 문제의 복잡도가 이 알파벳 크기에서 가장 높다는 것을 시사한다.
• 가장 어려운 사례는 코드 속도 R ∈ (0.35, 0.6) 범위에서 발생하며, 작은 q에 대해서는 최적의 무게 ω/⌊q/2⌋ ≈ 1 이고, 더 큰 q에 대해서는 약간 아래 1이다.
• 워거의 접근법을 기반으로 한 양자 ISD 알고리즘은 고전적 방법 대비 거의 제곱근 수준의 속도 향상을 달성하며, 복잡도 지수는 α 에서 ╱ 로 감소한다.
• q-ary 복잡도 q^{╱n} 은 q 가 증가함에 따라 처음에는 감소하다가 다시 증가하며, q=3에서 최대에 도달한다. 이는 더 큰 q가 항상 보안을 증가시키는 것은 아니며, 입력 크기 증가로 인해 오히려 위험할 수 있음을 시사한다.
• 제안된 볼록 최적화 방법은 wt(e) = ∑ wt′(e_i) 를 만족하는 임의의 무게 함수에 대해 정확한 渐近 구면 표면 면적 추정이 가능하게 하여, 일반적인 복잡도 분석을 가능하게 한다.